Binance a déclaré le 30 octobre 2026 avoir réservé plus de 6,3 milliards de dollars pour couvrir les pertes liées au piratage de ses cryptomonnaies survenu la veille. TRM Labs a retracé environ 6,36 milliards de dollars dérobés sur dix blockchains, pour l’essentiel en une vingtaine de minutes — le plus important vol de cryptomonnaies jamais recensé par l’entreprise.

Points clés à retenir

• Binance s’est engagée à utiliser les fonds de l’entreprise pour couvrir toutes les pertes.

• TRM attribue le vol au groupe TraderTraitor, lié à la Corée du Nord, avec un haut degré de confiance.

• Une délégation malveillante sur Ethereum a permis des balayages répétés de portefeuilles.

• La dernière estimation de Binance concernant les actifs gelés a atteint environ 3 milliards de dollars.

Le piratage de Binance a vidé des portefeuilles sur dix chaînes

Le vol a commencé le 29 octobre 2026 à 20 h 05 UTC, la majeure partie des sorties ayant eu lieu en l’espace d’environ 20 minutes, selon TRM. Son évaluation à 6,36 milliards de dollars repose sur les cours des actifs au moment de chaque transfert et représente environ quatre fois le montant du vol de 1,5 milliard de dollars subi par Bybit en février 2025.

Ethereum représentait 3,79 milliards de dollars, dont 200 630 ETH et 185 autres jetons. Parmi ces jetons figuraient 1,875 milliard d’USDT, 823 millions d’USDC et 88,5 millions de RLUSD. Les sorties de bitcoins totalisaient 18 270 BTC, soit environ 1,47 milliard de dollars.

TRM a tracé environ 628 millions de dollars provenant de Tron, 296 millions du XRP Ledger et 96 millions de Solana. Arbitrum, Optimism et Base ont perdu ensemble environ 39 millions de dollars ; Avalanche a perdu environ 28 millions et Polygon environ 10 millions. Une autre vague a touché Avalanche et Polygon vers 23 h 05 UTC.

Binance a confirmé un incident de sécurité, suspendu les retraits sur plusieurs réseaux et déclaré que les fonds des utilisateurs étaient en sécurité. Le 30 octobre, l’entreprise a indiqué que 5 milliards de dollars de ses réserves de remplacement correspondaient déjà aux jetons concernés et que l’achat du reste était en cours. Ces réserves excluent les actifs gelés soumis à des procédures de recouvrement et de vérification.

Comment les autorisations Ethereum ont permis des vols répétés

Selon TRM, l’attaquant a utilisé des délégations EIP-7702 pour faire exécuter par un portefeuille chaud Ethereum de Binance du code sous son contrôle. Cette fonctionnalité d’Ethereum permet à un portefeuille ordinaire d’autoriser un contrat intelligent à régir son fonctionnement.

À 20 h 20 UTC, l’opérateur a soumis 50 autorisations pré-signées couvrant des numéros de transaction consécutifs. L’une d’elles correspondait au numéro actuel du portefeuille et a activé un contrat de balayage qui n’acceptait que les instructions de l’opérateur.

Après un intervalle de trois minutes et 24 secondes, une opération de balayage a transféré 167 464 ETH ainsi que 63 jetons, dont 1,615 milliard d’USDT. La délégation est restée active, permettant six autres opérations de balayage à mesure que de nouveaux dépôts arrivaient. Le portefeuille compromis contrôlait également un compte intelligent distinct contenant 823 millions d’USDC, que Circle a ensuite gelés.

Sur les autres chaînes, les transferts étaient signés de manière classique. Selon l’évaluation de TRM, l’attaquant a probablement accédé à l’infrastructure de signature des portefeuilles chauds de Binance sur plusieurs chaînes. Binance a déclaré que son enquête initiale laissait penser qu’un ordinateur portable avait été compromis, tandis que des investigations ultérieures ont révélé d’autres points de compromission.

TRM attribue l’attaque à TraderTraitor

TRM attribue avec un degré élevé de confiance le piratage de Binance à TraderTraitor, une unité de piratage nord-coréenne soutenue par l’État, sur la base de renseignements recueillis sur et hors chaîne. Jonathan Levin, PDG de Chainalysis, a estimé séparément que TraderTraitor en était probablement l’auteur.

TRM a remonté les préparatifs jusqu’à au moins 36 heures avant l’attaque : petits retraits de Tornado Cash, déploiement du code d’attaque et répétitions. L’entreprise a relevé des similitudes avec des vols antérieurs liés à la Corée du Nord. Le FBI avait précédemment attribué à ce même groupe l’attaque de Bybit de février 2025.

Les gels ont bloqué des milliards, mais le recouvrement est une autre étape

TRM a estimé qu’environ 2,7 milliards de dollars avaient été gelés au 30 octobre à 00 h 30 UTC ; Binance a ensuite évalué le total à environ 3 milliards de dollars. Le décompte de TRM comprenait 2,67 milliards de dollars en stablecoins et environ 30 millions de dollars sécurisés sur Arbitrum.

Tether a gelé environ 1,77 milliard d’USDT, Circle environ 825 millions d’USDC, Ripple 40,5 millions de RLUSD et World Liberty Financial 27,8 millions d’USD1. Le Conseil de sécurité d’Arbitrum a retiré à l’attaquant le contrôle de 8 426 ETH et de 74,6 millions d’ARB.

L’attaquant a vendu environ 325 millions d’USDT par l’intermédiaire de teneurs de marché et de contrats fondés sur les intentions, contre quelque 122 300 ETH. Il a également déposé 60 millions d’USDT sur Aave et emprunté environ 19 760 ETH ; Aave a ensuite gelé les marchés concernés.

TRM a suivi plus de 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars, hors de portée des mesures de gel des émetteurs. Les bitcoins ont été fractionnés au moyen de « chaînes en épluchure » afin de compliquer leur traçage.

Ari Redbord, de TRM, a expliqué que les fonds gelés nécessitent des procédures judiciaires de recouvrement. Eric Jardine, responsable de la recherche chez Chainalysis, a indiqué que leur restitution peut prendre des mois, voire des années.

Les plateformes d’échange invitées à vérifier les dépôts et les contrôles de signature

TRM recommande de contrôler les dépôts et les contreparties en les comparant aux adresses identifiées de l’attaquant, et de surveiller les portefeuilles de trésorerie pour repérer toute délégation EIP-7702 inattendue. L’entreprise conseille également de rejeter les autorisations imprévues et de séparer l’infrastructure de signature en fonction de la chaîne et du niveau du portefeuille.

Binance a déclaré le 30 octobre avoir commencé à récupérer les actifs concernés et collaborer avec les forces de l’ordre et ses partenaires pour tracer, geler et récupérer des fonds supplémentaires.

Article réalisé avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.